1,电子商务安全从整体上可分为两类：计算机信息系统安全和商务交易安全。

2,计算机信息系统安全的内容包括：计算机系统安全、信息安全、网络安全、操作安全、人员安全等。

3,商务交易安全主要是如何保障电子商务过程的顺利进行，即实现电子商务的机密性、完整性、可鉴别性、有效性和不可抵赖性。

4,计算机系统安全,包括物理安全和逻辑安全.逻辑安全包括信息完整性、保密性和可用性，其最终目的是保证数据、信息和相关服务的安全性。

5,信息安全指如何保护信息的保密性、完整性和可用性，主要涉及数据传输安全、数据存储安全及信息内容审计安全三个方面。

6,网络安全主要包括信息的保密性、可鉴别性、不可抵赖性及完整性几方面。

保密性是指保护信息不被非授权者访问。

可鉴别性是指在揭示敏感信息或进行事务处理之前先确认对方的身份。

不可抵赖性要求信息的发送方不能否认自己所发出的信息，信息的接收方不能否认已收到了信息。

完整性要求信息接收者能够确认所获得信息在传输过程中没有被修改、延迟或替换

7,电子商务交易的核心是指交易者之间通过网络进行信息的传递及开展各种商务活动

8, 安全体系设计原则

ü 木桶原则：根据系统中最薄弱的地方最易受攻击的原则，有效防止最常见的攻击手段。

ü 整体性原则：对系统建立安全防护机制、安全监测机制、安全恢复机制三种控制机制，以提高系统的整体防御能力。

ü 一致性与易操作性:制定的安全体系结构必须与网络的安全需求相一致且易于操作。

ü 动态化：安全措施应具有良好的可扩展性,能随着网络性能及安全需求的变化而变化。

ü 安全性评价:对网络安全系统是否安全的评价决定于系统的用户需求和具体的应用环境。

ü 等级性原则：应针对不同的安全对象进行分级，包括对信息保密程度、用户操作权限、网络安全程度、系统实现结构的分级。

9, 加密技术：加密是以某种特殊的算法改变原有的信息数据

ü 明文：最初的原始信息。

ü 密文：被加密信息打乱后的信息。

ü 算法：将明文转换为密文的方法。

ü 密钥：将明文转换为密文或将密文转换为明文的算法中输入的参数。

ü 加密：将明文转换为密文的过程。

ü 解密：将密文转换为明文的过程。

10,对称加密技术:信息的发送者和接收者使用同样的密钥,简单快捷，密钥较短，且破译困难(使用最广泛) （DES（Data Encryption Standard）数据加密标准）。

DES算法原理：其入口参数有三个：key、data、mode。key为加密解密使用的密钥，data为加密解密的数据，mode为其工作模式。当模式为加密模式时，明文按照64位进行分组，形成明文组，key用于对数据加密，当模式为解密模式时，key用于对数据解密。实际运用中，密钥只用到了64位中的56位，这样才具有高的安全性。

DES算法把64位的明文输入块变为数据长度为64位的密文输出块，其中8位为奇偶校验位，另外56位作为密码的长度。首先，DES把输入的64位数据块按位重新组合，并把输出分为L0、R0两部分，每部分各长32位，并进行前后置换，最终由L0输出左32位，R0输出右32位，根据这个法则经过16次迭代运算后，得到L16、R16，将此作为输入，进行与初始置换相反的逆置换，即得到密文输出。

11,非对称加密技术：信息的发送者和接收者使用不同的密钥。

加密和解密花费时间长、速度慢，它不适合于对文件加密而只适用于对少量数据进行加密。

RSA:安全性是基于大整数因子分解的困难性----目前使用最广泛的非对称加密算法。

RSA算法原理：RSA算法基于一个十分简单的数论事实：将两个大素数相乘十分容易，但那时想要对其乘积进行因式分解却极其困难，因此可以将乘积公开作为加密密钥。

12,消息摘要（Message Digest）又称为数字摘要(Digital Digest)。它是一个唯一对应一个消息或文本的固定长度的值，它由一个单向Hash加密函数对消息进行作用而产生。

(1)消息摘要保证了消息的完整性、检验数据的完整性,由哈希算法的特性所决定的。

(2)哈希算法又可称为不可逆加密算法，它在生成消息摘要时不需要使用密钥：

把任意长度的输入，通过哈希算法，变换成固定长度的输出，该输出就是哈希值。数学表述为：h = H(M) ,其中H表示单向散列函数，M表示任意长度明文，h表示固定长度哈希值。

单向Hash 函数将需加密的明文"摘要"成一串128 bit的密文，这一串密文亦称为数字指纹

MD5 和 SHA-1：目前应用最广泛的Hash算法

MD5算法原理：对MD5算法简要的叙述可以为：MD5以512位分组来处理输入的信息，且每一分组又被划分为16个32位子分组，经过了一系列的处理后，算法的输出由四个32位分组组成，将这四个32位分组级联后将生成一个128位散列值。

SHA算法原理：SHA-1是一种数据加密算法，该算法的思想是接收一段明文，然后以一种不可逆的方式将它转换成一段（通常更小）密文，也可以简单的理解为取一串输入码（称为预映射或信息），并把它们转化为长度较短、位数固定的输出序列即散列值（也称为信息摘要或信息认证代码）的过程。

13，数字签名（Digital Signature）就是附加在数据单元上的一些数据，或是对数据单元所作的密码变换。可用于辨别数据签署人的身份，并表明签署人对数据信息中包含的信息的认可。数字签名（又称公钥数字签名、电子签章）是一种类似写在纸上的普通的物理签名，但是使用了公钥加密领域的技术实现，用于鉴别数字信息的方法。一套数字签名通常定义两种互补的运算，一个用于签名，另一个用于验证。

14，数字水印：数字水印技术是通过一定的算法将数字、序列号、文字、图像标志等版权信息嵌入到多媒体数据中，但不影响原内容的价值和使用，并且不能被人的感知系统觉察或注意到。并不能阻止盗版活动的发生，但可以判别对象是否受到保护、监视被保护数据的传播、鉴别真伪、解决版权纠纷并为法庭提供认证证据

15，数字时间戳是一个经加密后形成的证书文档，它包括三个部分：

（1）需加时间戳的文件的摘要（digest）；

（2）DTS收到文件的日期和时间；

（3）DTS的数字签名

时间戳产生的过程为：用户首先将需要加时间戳的文件用Hash编码加密形成摘要，然后将该摘要发送到DTS，DTS在加入了收到文件摘要的日期和时间信息后再对该文件加密（数字签名），然后送回用户。

ü 可用于证明电子文档在其时间戳所述的时间期限内有效。

16，数字证书Certificate, Digital ID)又称为数字凭证，是采用公钥密码体制经证书授权中心数字签名的，包括公开密钥拥有者信息以及公开密钥的文件。

如果用户需要发送加密数据，发送方需要使用接收方的数字证书中的公开密钥对数据进行加密，而接收方则使用自己的私有密钥进行解密，从而保证数据的安全保密性。

有三种类型：

个人证书(PersonalDigital ID)、企业服务器证书(ServerID)、软件开发者证书(DeveloperID)

17，生物识别：指纹；手型、脸型；语音；视网膜

18，认证中心CA(Certification Authority)就是提供交易双方身份认证并保证交易安全进行的第三方服务机构。主要任务是受理数字证书的申请、签发及对数字证书的管理

由以下三部分组成：注册服务器，证书申请受理和审核机构，认证中心服务器

19，安全套接字层协议(Secure Sockets Layer, SSL)是由Netscape公司研究制定的基于WEB应用的安全协议，包括“SSL记录协议”和“SSL握手协议”两部分

20，安全电子交易(Secure Electronic Transaction, SET)，用于Internet上的以信用卡为基础的电子支付系统协议。它采用公钥密码体制和X.509数字证书标准，主要应用于B2C模式中保障支付信息的安全性，它已成为目前公认的信用卡/借记卡网上交易的国际安全标准。

21，S-HTTP（安全的超文本传输）协议通过对密钥对的加密，保障Web站点间交易信息传输的安全性，它提供了文件级的安全机制，每个文件都可以被设成私人/签字状态。

22，防火墙(Firewall)是一项协助确保信息安全的设备，会依照特定的规则，允许或是限制传输的数据通过。防火墙可以是一台专属的硬件也可以是架设在一般硬件上的一套软件。

。

防火墙分类：包过滤防火墙、应用级网关、状态检测防火墙

w 防火墙作用

ü 过滤不安全服务和非法用户。

ü 控制对特殊站点的访问。

ü 提供监视Internet安全和预警的方便端口。

ü 可以连接到一个单独的网段上，将Internet上的用户所访问的系统与只由内部员工访问的系统分离出来。

w 防火墙优点

保护脆弱的服务。控制对系统的访问。集中的安全管理。增强的保密性。

有效记录Internet上的活动

w 防火墙缺点

不能防范来自内部的攻击。不能防范不通过它的连接。

不能防范未知的威胁。不能完全防范病毒的破坏

23,编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码被称为计算机病毒（Computer Virus）

24，计算机病毒的防治：防毒、查毒、杀毒，预防为主、消防结合的原则

25，网络病毒的检测两种方式：手工检测和自动检测，需要结合使用。

26，网络钓鱼(Phishing)一般指利用欺骗性的Email和伪造的Web网站来进行行为